In tre settimane l'AGID ha tracciato oltre 280.000 SMS con testo 'Poste Italiane: il tuo pacco e in giacenza, paga 1.99 EUR per riconsegna' e link verso domini come poste-riconsegna.shop o sdpd-it.com. Il mittente alfanumerico era 'PosteIT', identico a quello legittimo.
La landing chiedeva nome, indirizzo, e poi i dati completi della carta inclusi CVV e OTP. Un 23enne di Catania ha perso 3.400 EUR in 9 minuti dopo l'inserimento, perché i criminali hanno aggiunto la carta a un wallet su Apple Pay e prosciugato il conto con micro-pagamenti contactless.
Mythos ha analizzato il link: dominio registrato 48h prima su registrar russo, certificato Let's Encrypt emesso il giorno stesso, codice JavaScript identico a 14 altri domini già segnalati. Il dossier ha consentito alla Polizia Postale di chiedere il takedown e collegare la campagna a un cluster di rete già mappato.